FortiGate Azure atslēgas atjaunošana: peer SA priekšlikums neatbilst vietējai politikai
Strādājošs IKEv2 tunelis joprojām var noraidīt aizvietotāju CHILD SA. Salīdziniet priekšlikumu, par kuru atjaunošana patiešām vienojas, nevis to, ko izmantoja pirmais ping.
Tunelis pacēlās, trafiks plūda, un vēlāk žurnālā teikts peer SA proposal not match local policy. Lielākā daļa cilvēku šo rindu lasa kā pierādījumu, ka abas konfigurācijas nekad nav sakritušas. Parasti tā nozīmē kaut ko šaurāku: tās sakrita pirmajai CHILD SA un pārstāja sakrist pirmajā atjaunošanā, jo pirmajai asociācijai nekad nevajadzēja to apmaiņu, ko veic vēlākās. Tieši šī atšķirība nosaka, kur skatīties.
Pirmā CHILD SA manto, vēlākās vienojas
IKEv2 sākotnējā CHILD SA tiek izveidota IKE_AUTH laikā, un tās atslēgas tiek atvasinātas no IKE SA atslēgu materiāla. Tajā brīdī nav atsevišķas Diffie-Hellman apmaiņas, tāpēc PFS grupa, ko viens peer nevar pieņemt, vienkārši vēl netiek pārbaudīta. Tunelis izskatās vesels, jo prasība, pie kuras vēlāk cietīsiet neveiksmi, nekad netika pārbaudīta.
CHILD_SA atslēgas atjaunošana ir cita ziņojumu secība. Kad PFS ir konfigurēts, peer veic jaunu atslēgu apmaiņu un tiem jāvienojas par grupu, ko pieņem abas puses, kā arī par jaunās asociācijas ESP priekšlikumu. Tieši tajā brīdī neatbilstība kļūst redzama, un tāpēc kļūda nosauc priekšlikumu, nevis maršrutu.
Tātad „vakar tas strādāja“ neko nepasaka par priekšlikumu. Tas pasaka, ka sākotnējā apmaiņa bija veiksmīga, ko jūs jau zinājāt.
Lasiet neveiksmīgo apmaiņu, nevis pirmo ping
Pirms kaut ko mainīt, savāciet no abiem galiem veiksmīgu IKE autentifikāciju, sākotnējo CHILD SA un neveiksmīgo aizvietojumu. Pēc tam precīzi nosauciet darbību: IKE SA atslēgas atjaunošana, IKE atkārtota autentifikācija un CHILD SA atslēgas atjaunošana ir trīs dažādi notikumi, un „2. fāze“ ikdienas sarunā aptver tos visus.
Salīdziniet zemāk norādītos laukus neveiksmīgajam savienojumam, nevis tunelim kopumā.
| Slānis | Salīdzināmās vērtības |
|---|---|
| IKE | Versija, šifrēšana un integritāte vai PRF izkārtojums, DH grupa |
| IPsec / CHILD | ESP šifrēšana un integritāte, paredzētā PFS vai atslēgu apmaiņas grupa |
| Aizsargātais trafiks | Vietējie un attālie selektori, kā arī jebkurš uz politiku balstīts selektora iestatījums |
FortiGate atveriet šī tuneļa 2. fāzes priekšlikumu, PFS iestatījumu un pieņemtās DH grupas. Lasiet ielādētās vērtības, nevis seciniet tās no iepriekš izveidota savienojuma. GUI lapas ekrānuzņēmums ir vājāks pierādījums nekā strādājošā konfigurācija, jo pēc atjaunināšanas abas var atšķirties. Eksportējiet mainīto sadaļu un glabājiet to kopā ar biļeti.
Azure noklusējuma politika joprojām ir politika
Tas, ka savienojumam nav pievienota pielāgota politika, nenozīmē, ka Azure nepiemēro nevienu. Savienojums atgriežas pie vārtejas noklusējuma priekšlikumu kopas, kas var būt plašāka vai šaurāka nekā tas, ko piedāvā jūsu FortiGate. Ja abas kopas pārklājas IKE gadījumā, bet ne ESP ar PFS gadījumā, jūs iegūstat tieši šo kļūmes modeli.
Šis tikai lasāmais skats parāda faktiski pievienoto politiku, neatklājot noslēpumus:
Get-AzVirtualNetworkGatewayConnection -Name 'Branch' -ResourceGroupName 'NetworkRG' |
Select-Object Name, ConnectionStatus, IpsecPoliciesIzmantojiet savus īstos resursu nosaukumus. Kad nepieciešama skaidra politika, iestatiet to savienojuma resursā. Tas nav visas vārtejas slēdzis, un tas klusām neattiecas uz citiem tuneļiem tajā pašā vārtejā.
Portālā Configuration lapa ir vieta, kur tiek ievietota pielāgota IPsec/IKE politika. Microsoft pielāgotu politiku rokasgrāmata uzskaita atbalstītos parametrus un SKU prasības. Azure ņem vienu pilnīgu kombināciju vienam savienojumam, tāpēc IKE laukus un IPsec laukus norādāt kopā, nevis pa vienam.
PFS ir prasība, nevis pārslēdzams slēdzis
Ja jūsu drošības bāzes līnija prasa PFS, risinājums ir grupa, ko abi peer pieņem abās pusēs, izteikta ar atbilstošu politiku. PFS izslēgšana, lai kļūda pazustu, maina drošības īpašību, ko centāties saglabāt, un tā parasti vēlāk atgriežas kā cita neatbilstība.
Viens Azure raksturīgs slazds: kad ESP izvēlaties GCM, šifrēšanas un integritātes izvēlēm jānosauc tas pats GCM algoritms un tas pats atslēgas garums. GCM šifra sajaukšana ar atsevišķu integritātes algoritmu rada kombināciju, ko pakalpojums noraida, un tas izskatās kā peer neatbilstība, līdz rūpīgi izlasāt politiku.
Izvēlieties spēcīgāko kombināciju, ko atbalsta abi gali un atļauj jūsu prasība, pēc tam ierakstiet to izmaiņu žurnālā. Nākamais cilvēks salīdzinās ar šo žurnālu, nevis ar atmiņu par strādājošu tuneli. Iekļaujiet tajā PFS grupu un ESP priekšlikumu, ne tikai politikas nosaukumu. Kad vēlāk kāds jautā, kāpēc audits neizdevās vai kāpēc atslēgas atjaunošana ir lēna, šī rinda atbild uz abiem jautājumiem.
Pārbaudiet neveiksmīgo apmaiņu
Plānojiet izmaiņas ar atjaunošanas ceļu, jo politikas rediģēšana var pārtraukt tuneli, ko mēģināt salabot. Kad trafiks atgriezīsies, gaidiet CHILD_SA atjaunošanu vai izraisiet to, un apstipriniet, ka jaunā asociācija ir izveidota ar paredzēto PFS grupu. Pēc tam apstipriniet, ka lietojumprogrammu trafiks turpinās caur to.
Divi nepareizi pavedieni ir vērts nosaukt. SA darbības laiki ir vietējas specifikācijas, tāpēc nevienādas vērtības ir normālas, un to maiņa tikai pārbīda, kad problēma parādīsies. DPD nosaka, vai peer ir dzīvs; tā termiņa palielināšana nesaskaņo ESP vai PFS izvēles.
Pierakstiet sarunāto rezultātu un nākamo notikumu pēc izmaiņām. Ja savienojums tagad neizdodas pirms IKE autentifikācijas pabeigšanas, jūs skatāties uz tikko rediģētajiem IKE iestatījumiem, nevis uz sākotnējo CHILD atjaunošanas kļūmi.